Vitual IP's and Net-to-Net IPSec

Should work. You do not need any routes. Just setup your subnetdefinitions correctly.

Xeno 

I mean, you can't setup VPNs on a VIP!!
 

HI there, 

it seems that their is some missunderstanding going arround, 
let me try explain it.


In a net to net or site to site vpn, you can not use virtual ip address, 
but you don't need them anyway.

Virtual IP addresses are only need if you connect roadwarriors.
A roadwarrior is a single PC or Laptop that connects to the local LAN 
using an IPSec client software and the ip address he comes from changes always.

Such a roadwarrior without VIP has two limitations, 
a) you can not set any packet filter rules because you don't know from which ip the roadwarrior will come next.
b) the roadwarrior can not be accessed from the local lan, as no one knows his ip.

If you want to use NAT-traversal, the draft states that the tunnel endpoint and the ip address that sends traffic through the tunnel should not be the same, in a roadwarrior set this is  normally the case, that is why you always have to use VIP if your roadwarrior wants to use NAT-T.

In a site to site VPN like this:
 Code:

---

 LAN1 === FW1 ---- Internet ---- FW2 === LAN2 

---

 

There is no need to use VIP, becaue the ip addresses of LAN1 and LAN2 never changes, they are always known  to each other, and if you want to use NAT-T the tunnel endpoint is never equal the ip address that communicates through the tunnel.

You also don't need to set any routes manually, because we take care of this.
If a PC from LAN1 wants to contact a server on LAN2, you just have to make sure the packets arrive at the firewall (default gw), the ipsec tunnel will do the rest, but don't forget to add a packet filter rule that allows communication through the tunnel.

regards
Gert